Por fin el Tribunal se ha pronunciado, en su reciente Sentencia 571/2025 de 9 de abril, respecto al conocido “phising”, o en este caso, más concretamente sobre el “Sim-Swapping”, imponiendo a las entidades la obligación de devolver a las víctimas de este tipo de estafas, las operaciones no autorizadas por éstos.

En nuestros anteriores posts relativos a esta materia, hemos profundizado sobre lo que son los fraudes bancarios o “cyber delitos”, describiendo las últimas y sofisticadas técnicas delictivas que utilizan los delincuentes para obtener las claves de banca online de los usuarios o claves de tarjetas, y usurpando la identidad de éstos ordenar operaciones bancarias en su propio beneficio, o directamente inducir a error a los usuarios para que esto las aprueben; también hemos dado recomendaciones sobre cómo evitar este tipo de fraudes y explicado sobre la denuncia que se tiene que interponer ante la autoridad policial competente si has sido víctima de uno de ellos, y cómo reclamar a tu banco (extrajudicial y judicialmente), en caso de que no te retrocedan las operaciones no autorizadas.

Pero ahora nos alegra infinitamente poder comunicar que por fin el Tribunal Supremo se ha pronunciado sobre este tipo de actuaciones delictivas, pero sobre todo, ha cerrado el debate sobre la obligación que tienen las entidades bancarias de devolver las operaciones no autorizadas por los usuarios que han sido víctimas de este tipo de cyberdelitos, despejando así el camino para la recuperación de las cantidades estafadas.

En qué consiste el “Sim-Swapping”

El “Sim-Swapping”, técnica en el que los delincuentes obtienen una copia de la tarjeta SIM de los terminales móviles donde habitualmente descargamos las aplicaciones de las entidades bancarias o tenemos guardada nuestra información personal, consiguiendo así los datos y claves bancarias con los que pueden acceder a nuestras cuentas, usurpar nuestra identidad, ordenar todo tipo de operaciones (compras online con tarjetas, transferencias, bizums, envíos de dinero Hal Cash, contratación de préstamos personales, etc.), y a la vez, leer todos los mensajes SMS que recibimos en nuestro terminal, incluidos los que remiten las entidades con los códigos de autorización para aprobar dichas operaciones, dando la apariencia de que es el usuario quien está ordenando y aceptando dichos movimientos.

Qué nos señala el TS sobre este tipo de Phising

La reciente Sentencia 571/2025 de 9 de abril del TS resuelve sobre una estafa perpetrada a través del sistema del “Sim-Swapping”, concretamente, corresponde a una estafa que se produjo en el año 2021, cuando la víctima advirtió varios cargos vinculados a su servicio de Google Pay, alertando de ello a la entidad bancaria sin que ésta bloquease las cuentas ó el acceso a las mismas, ni reforzase las medidas de seguridad, permitiendo así la ejecución de quince operaciones en una sola noche sin generar alerta interna (Bizums y transferencias bancarias), por un importe superior a 83.000 euros.

La entidad demandada es Ibercaja, y el procedimiento fue seguido ante el Juzgado de Primera Instancia n.º 7 de Zaragoza, quien estimo íntegramente la demanda, obligando la devolución de las operaciones no autorizadas por el demandante con sus correspondientes intereses, y ratificada posteriormente por la Sentencia 5.ª de la Audiencia Provincial de Zaragoza.

En este caso, como en casi todas los procedimientos que se siguen por este tipo de asuntos, el banco se oponía a devolver las cantidades defraudadas no porque se cuestionase la estafa sufrida por la víctima, hecho que era reconocido por Ibercaja, sino parapetándose en que las operaciones habían sido aprobadas con una doble autenticación válida –usuario y código SMS–, y achacando al usuario una falta de diligencias en la custodia de sus claves personales, lo cual habría permitido el acceso de los delincuentes a sus datos bancarios y consumar el delito.

Pues bien, haciéndose eco de la legislación comunitaria (La Directiva 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015), y nacional (Real Decreto Ley de Servicio de Pago 19/2018 de 23 de noviembre) aplicable, esta Sentencia refuerza la evolución jurisprudencial que se ha venido manteniendo en casi todas las audiencias Provinciales en los últimos tiempos respecto a esta materia, concluyendo lo siguiente:

• El usuario debe adoptar todas las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas, debiendo en cualquier caso notificar inmediatamente a su banco en caso de extravío, sustracción o utilización no autorizada del instrumento de pago.
• En caso de que se produzca una operación de pago no autorizada, el proveedor debe proceder a su rectificación y reintegrar el importe de inmediato, salvo sospecha de fraude por parte del cliente a la entidad bancaria (que pretendan fingir haber sido víctimas de un delito inexistente), en cuyo caso ha de comunicarlo al Banco de España, o incumpliendo deliberadamente, o por negligencia grave del uso de sus claves bancarias o personales. 

En este extremo, la Sentencia aclara que el hecho de que un tercero pueda acceder a las claves de acceso a la banca digital de un usuario, no supone per se que haya incurrido en negligencia por parte de éste, y mucho menos, que se traten de negligencias graves.

Y esta aclaración resulta de vital importancia cuando, en la mayor parte de los cyber delitos que se sufren , existe cierta “concurrencia” de actividad por parte del usuario que ha despejado la vía al delincuente, porque o bien se ha pinchado en el link que no debía, o abierto una página fake, o instalado un programa infeccioso, o ha caído en el trampa del “vishing” facilitado información personal y bancaria a los delincuentes de manera inconsciente, etc.; y esta sentencia, aclara que dichos comportamientos no pueden ser calificados de negligencia grave, sino que muy al contrario, responden a un modo de actuar perfectamente comprensibles. 

Así, la sentencia aclara que el hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas.

• Cuando un usuario niegue haber autorizado una operación de pago, corresponde al proveedor la carga de demostrar que el pago fue autenticada, registrada con exactitud y contabilizada (sin que el simple registro de la operación baste para demostrar que fue autorizada), que no se vio afectada por un fallo técnico u otra deficiencia del servicio prestado por el proveedor de servicios de pago, y que el usuario del servicio de pago cometió fraude negligencia grave.

La sentencia aumenta el nivel de diligencia de las entidades a un plano superior, aclarando que la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico, (que sería más equivalente a un «fallo técnico»), sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, de manera que la resolución obliga a las entidades a implementar medidas de seguridad en los sistemas de servicios de pago para, por ejemplo, detectar de forma automática la concurrencia de indicios sospechosos de operaciones ilícitas, citando específicamente los números e intervalos de operaciones en breve lapso temporal, el horario intempestivo en que se ejecutan, el importe o destinatarios de envío, que no corresponde con el hábito del usuario según sus antecedentes, etc.

Esta conclusión resulta vital para retrotraer las operaciones ilícitas, porque hasta ahora las entidades se escudaban en la dificultad de advertir movimientos sospechosos en las cuentas de sus clientes para poder evitar la comisión de operaciones no autorizadas, argumentando no poder destinar trabajadores a la vigilancia permanente de movimientos de cuentas, alegaciones que el Tribunal Supremo rechaza, puesto que como se indica en su resolución “los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividad.”

En cualquier caso, es la entidad a quien corresponde la obligación de demostrar tanto que la operación fue autenticada, registrada con exactitud y contabilizada, que no se vio afectada por un fallo técnico u otra deficiencia del servicio, y que el usuario del servicio de pago cometió fraude o negligencia grave, no presumiéndose la misma.

• Que deben ser declaradas nulas las cláusulas contractuales que exoneren a las entidades bancarias de su responsabilidad con los usuarios respecto a las operaciones no autorizadas.

Así pues, esta Sentencia sobre “Sim-Swapping” resulta el espaldarazo final que estábamos esperando para acabar con este tipo de abusos por parte de las entidades bancarias y financieras, que no han invertido lo suficiente en implementar las medidas de seguridad necesarias para convertir la banca online en un sistema completamente fiable, dejándonos al albur de que cualquier hacker quiera “limpiarnos” la cuenta.

Si has sido víctima de “Sim-Swapping” o phishing, no estás solo. En Justicia Bancaria, contamos con un equipo especializado en derecho bancario y financiero, comprometido en defender los derechos de los consumidores. Te ayudaremos a reclamar la devolución de las operaciones no autorizadas por ti y a hacer valer tus derechos frente a las entidades financieras.

Actuamos defendiendo tus derechos. No permitas que una estafa te deje sin recursos.

Contacta con nuestro despacho e infórmate de cómo podemos ayudarte a recuperar tu dinero. 

En Justicia Bancaria, tu defensa es nuestra prioridad.